|
| |
| 2.116, Аноним (-), 06:37, 19/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– | |
Линуксоиды пока заняты попытками заткнуть rowhammer в софте. Хоть это и похоже на "ты что. сбил автомобилем вертолет?!", но эти чего доброго еще и смогут.
А так на самом деле легко лечится. Не ставишь себе udev в пингвине, а IP настраиваешь статикой. И у тебя нет плагнплея. Нет сетевого интерфейса. И вообще - если у тебя не было usb-сетевок то даже модуль придется вручную сначала вгрузить. На чем атака и встрянет. Ну в общем безопасность и удобство порой таки оказываются по разную сторону баррикад. В том плане что удобно может оказаться не только пользователю но и атакующим.
| | |
|
| 1.4, A.Stahl (ok), 11:10, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]
| –4 +/– |
 >но так как подсеть задана явно, то подпадающий под эту подсеть трафик уходит через новый сетевой интерфейс независимо от наличия более приоритетного шлюза
Т.е. настройки приоритета недостаточно приоритетны при выборе шлюза? Это, скорее всего, баг.
| | |
| |
| 2.14, Moomintroll (ok), 11:35, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +6 +/– |
 > Т.е. настройки приоритета недостаточно приоритетны при выборе шлюза? Это, скорее всего, баг.
Настройки приоритета влияют только на одинакове префиксы. Именно поэтому он не пытается подменить умолчательный шлюз, а замахивается только на половину IPv4.
Т.е. если бы он пытался подменить дефолтный шлюз, то у него бы не получилось из-за приоритета.
| | |
|
| 1.5, Ivan_83 (ok), 11:17, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]
| +9 +/– |
 У меня на фре такое точно не проканает: адаптер то оно подхватит но дхцп клиента на нём не запустит и он будет висеть не сконфигуреный дальше.
Собственно тоже самое было когда я недавно USB сетевуху подключал посмотреть что оно из себя представляет.
| | |
| |
| |
| 3.86, Ivan_83 (ok), 21:11, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
Скорее всего как ueХ будет.
Там стандартный драйвер для юзби, оно много где так. Такой же драйвер для всяких 4г модемов в ndis режиме.
| | |
|
| |
| |
| 4.91, angra (ok), 23:41, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +1 +/– |
 В любом, где это не настроено. Или ты не в курсе, что любой дистр линукса можно настраивать и dhcp клиент вообще не запускать? И даже если говорить о дефолтной инсталляции какого-нибудь user friendly дистра, то на этапе установки обычно задается вопрос о настройках сети, где можно указать статический ip без всякого dhcp.
| | |
| |
| 5.111, Ivan_83 (ok), 15:11, 18/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| –1 +/– |
Тут всё не однозначно.
На этапе установки ты настраиваешь имеющиеся адаптеры, а во время работы настроенной системы у тебя появляется новый адаптер, который ты не настраивал.
Вот на этом моменте я хз как поведут себя разные дистры.
| | |
|
|
| 3.100, Аноним (-), 09:40, 18/11/2016 [^] [^^] [^^^] [ответить] [↑] [к модератору]
| –1 +/– |
Во всех номральных осможно отключить dhcp клиент, и что?
Речь о дефолтном состоянии системы. Скорее всего, дефолт на компе у жертвы - вообще не линукс и т д.
ЗЫ: припоминается, что проблема незначительная (и фиксить незачем), т к в реале трудно эксплуатировать. НПусть парень запустит кампанию на кикстартере, может и мотивация у разработчиков ОС появится. Хотя, достаточно слить свои наработки в сеть.
| | |
| |
| 4.104, Аноним (-), 12:55, 18/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– | |
Вы таки совершенно ничего не понимаете в тролинге адептов FreeBSD.
А если серьёзно то просто поставил на место адепта Бзди. Алсо, в венде это тоже всё отключается, просто через одно место. За Вендоз 10 не скажу.
| | |
| |
| 5.112, Ivan_83 (ok), 15:22, 18/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| –1 +/– |
Что то я сильно сомневаюсь что там можно отключить использование дхцп клиента на всех новых интерфейсах, только отключить дхцп клиента целиком, что не практично.
| | |
| |
| 6.120, Аноним (-), 09:43, 19/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– | |
> Что то я сильно сомневаюсь что там можно отключить использование дхцп клиента на всех новых интерфейсах, только отключить дхцп клиента целиком, что не практично.
А зачем он нужен, если можно просто "поднять" интерфейс ifup. Или вы так часто суёте в машину новые устройства?
| | |
|
|
|
|
| 2.69, Аноним (-), 16:33, 17/11/2016 [^] [^^] [^^^] [ответить] [↑] [к модератору]
| +/– |
> У меня на фре такое точно не проканает: адаптер то оно подхватит
> но дхцп клиента на нём не запустит и он будет висеть
> не сконфигуреный дальше.
Wow. Such годный вброс! So many отзывов-подгораний у лапчатых )
| | |
|
| |
| 2.82, DmA (??), 20:36, 17/11/2016 [^] [^^] [^^^] [ответить] [↓] [к модератору]
| +/– |
действительно, воткнул вместо родного эзернет какой-нибудь ноутбук с 3g и dhcp и пустил через него весь трафик с компа. Когда теперь все знают про такие флехи-компьютеры, то подключение другого кабеля более опасная штука. Заблокировать экран мало теперь прежде, чем выйти из комнаты: нужно ещё usb и сетевые порты отключить, а комп опечатать. Биос думаю у всех давно запаролен и в качестве единственного boot устройства стоит нужный жёсткий диск.
В общем 152 инструкцию фсб-фапси пора расширять...
| | |
| |
| 3.118, Аноним (-), 06:44, 19/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– | |
> Заблокировать экран мало теперь прежде, чем выйти из комнаты:
Оптимисты еще не прочитали про чтение экрана даже без его видимости по излучению. А реалисты сделали из бага фичу - какой-то чувак додумался транслировать эпловским монитором AM-радиопередачу, во как.
// заодно програмер теоретически может утащить инфо с любого компа если ему там можно программы запускать, если он достаточно креативен :)
| | |
|
| 2.117, Аноним (-), 06:42, 19/11/2016 [^] [^^] [^^^] [ответить] [↑] [к модератору]
| +/– | |
> Чем это лучше просто подключения к сетевухе?
Тем что это потенциально может сделать вообще любое юсб устройство. Тем более что в большинстве их них есть микроконтроллер и прошивка и оно на самом деле может изображать из себя что угодно. Захочет твоя usb сетевка стать клавиатурой - и станет. И если у тебя был рутовый терминал открыт, а клава подцепилась - ну это залет. PoC нагревающие винду этим методом уже даже были - фэйк клава пытается ребутнуть систему а потом в bios сменить настройки на загрузку. С флешки. Которую после этого и изображает. И вот уже система грузится с клавы, которая уже флешка. В общем, такой себе автомобиль-самолет как у фантомаса.
| | |
|
| |
| 2.93, lamer (??), 00:04, 18/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– | |
> Пора в xscreensaver добавлять блокировку всех новых девайсов при залоченном сеансе
То ли дело взять не дешманско-лоховскую флеху в которой сэкономили на всем чем можно, а фирменную какую. Крутую. С эмблемой ХайСекурности. В идеале чтоб вендор было Microsoft или Intel. Им то уж можно доверять, не то что китайским ноунеймам
| | |
| |
| 3.97, Аноним (-), 05:54, 18/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
Проблема в том, что приведённое в статье устройство собрано из натурального мусора за три копейки. То есть грань между "купить китайскую флеху за 300р." и "купить брендовую флеху с ПРЕМИУМ троянами от Sony" теперь практически отсутствует. А на компонентах всегда можно сэкономить взвинчивая заявленный объём в 50 раз и сжимая данные каким-нибудь gzip.
| | |
| |
| 4.126, Аноним (-), 23:42, 19/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– | |
> объём в 50 раз и сжимая данные каким-нибудь gzip.
На пути этого хитрого плана есть загвоздка: видео, аудио и прочие фоты - не очень жмутся gzip-ом, поэтому на#$ка довольно быстро спалится :)
| | |
|
|
|
| |
| 2.127, Аноним (-), 23:45, 19/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– | |
> Слабак. Вот на выключенный ПК - это да.
Intel ME может писюк и включить. И вообще, жил был компьютер. При уходе в suspend to ram - он засыпал. Но иногда ктулху все-таки просыпался. Включая ATX power supply. Сам. Исследование показало что PCI-e нынче бывает под напругой даже в дежурке, поэтому даже китайская сетевка может взять и врубить комп. Чтобы было больше лулзов, в куске китая WOL активен по дефолту и срабатывает на любой уникаст пакет, даже без magic.
| | |
|
| 1.12, Аноним (-), 11:34, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]
| –6 +/– | |
> компьютер жертвы воспринимает его как новую сетевую плату,
Даже на Винде это не прокатит. Или он через usb еще и драйвер скармливает системе?
И с какой стати, сетевой адаптер должен сбросить текущее сетевое соединение и подключится к это сети?
| | |
| |
| 2.16, Moomintroll (ok), 11:42, 17/11/2016 [^] [^^] [^^^] [ответить] [↓] [к модератору]
| +5 +/– | |
> И с какой стати, сетевой адаптер должен сбросить текущее сетевое соединение и подключится к это сети?
Во-первых, не сетевой адаптер, а ОС. А во-вторых, речь-то о HTTP - где там "текущие соединения"?...
| | |
| |
| 3.20, Костик (??), 11:48, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| –2 +/– |
О-о, батенька. Так ведь HTTP 1.1 уже устареть успел, а не все, как оказывается, знают...
Именно, именно соединения.
| | |
| |
| 4.38, Moomintroll (ok), 13:45, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
> Так ведь HTTP 1.1 уже устареть успел, а не все, как оказывается, знают...
> Именно, именно соединения.
Я подозреваю, что Вы намекаете на keep-alive aka переиспользование соединения с сервером для загрузки нескольких компонентов страницы... В таком случае Вы заблуждаетесь, если считаете, что эти соединения живут вечно. Там таймаут от десятков секунд до считанных минут.
| | |
| |
| |
| 6.103, Moomintroll (ok), 12:45, 18/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
> а что такое тайм аут?
> точнее, при каких условиях он наступает?
При отсутствии передачи данных в соединении в течение определённого времени, соединение закрывается.
Википедия интереснее пишет про keep-alive: https://en.wikipedia.org/wiki/HTTP_persistent_connection
HTTP 1.0
…
This will continue until either the client or the server decides that the conversation is over, and one of them drops the connection.
Вообще не представляю эту логику. Таймауты логичнее, как в HTTP 1.1:
the default connection timeout of Apache httpd 1.3 and 2.0 is as little as 15 seconds[2][3] and just 5 seconds for Apache httpd 2.2 and above
| | |
|
|
|
|
| |
| |
| 4.128, Аноним (-), 23:47, 19/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| –1 +/– | |
> С драйверами иногда танцевать приходится.
Для большинства сетевок подходит стандартный драйвер стандартного класса устройств. На самом деле эти драйверы есть в большинстве ОС.
| | |
|
|
| 2.19, Mikk (??), 11:48, 17/11/2016 [^] [^^] [^^^] [ответить] [↑] [к модератору]
| +/– |
Там же сказано - сеть задаётся явно.
У более специфичных сетей приоритет выше, чем у дефолта. Так в ip сетях работает маршрутизация.
| | |
|
| 1.17, Аноним (-), 11:43, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ] [↑] [к модератору]
| +/– |
Мутный способ, нет 100% уверености что удастся что-то полезное вытащить. Ну и selfdestroy coockies - наше все.
И в зоне риска только адреса:
HostMin: 0.0.0.1 0 0000000.00000000.00000000.00000001
HostMax: 127.255.255.254 0 1111111.11111111.11111111.11111110
Хотя никто не мешает поменять диапазон.
| | |
| |
| 2.58, Аноним (-), 15:01, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
> Есть же китайские фейковые флешки с конденсаторами внутри которые сжигают железо разрядом.
> От таких приколистов ни один софт не поможет.
А смысл? После этого шина сгорает и предположительно даже мосты умирают вкупе со всякими другими устройствами. Так то ты сможешь вытащить оттуда после этого? Ничего? А какой тогда смысл? Насолить разве что?
| | |
| |
| 3.129, Аноним (-), 23:51, 19/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
> А смысл? После этого шина сгорает и предположительно даже мосты умирают вкупе
> со всякими другими устройствами. Так то ты сможешь вытащить оттуда после
> этого? Ничего? А какой тогда смысл? Насолить разве что?
На хабре даже пример такого usb-destructor'а был. Идея проста как тапок: девайс накачивает батарею кондеров от 5V питания. Бах разрядом по линиям данных. Пациент готов.
А зачем? Ну например - отличный пранк над "клептоманами". Вот так оставишь флешку, у нее отрастут ноги. В этом случае - приделавший ноги потом будет очень не рад что взял чужое, потому что выбитый чипсет обходится значительно дороже флешки.
| | |
|
|
| 1.23, Меломан1 (?), 11:51, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]
| –10 +/– |
Ну насобирал он печенюшек и урлы, все равно у всех 2-х факторная авторизация настроена, хрен он что получит.
Считаю, что уровень опасности минимальный.
| | |
| |
| 2.59, Аноним (-), 15:02, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +2 +/– |
> Ну насобирал он печенюшек и урлы, все равно у всех 2-х факторная
> авторизация настроена, хрен он что получит.
> Считаю, что уровень опасности минимальный.
Ты забыл про хомячков? Некоторые даже, о ужас, записывают все пароли на стикерах, которые потом крепят к монитору... Тут даже ничего подключать не надо.
| | |
| |
| 3.74, Crazy Alex (ok), 18:56, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
 Вот чем дальше - тем больше у меня подозрение, что обеспечить физическую защиту железки и пользоваться стикерами - довольно надёжный и беспроблемный вариант. Во всяком случае, пока речь о всяких шпиёнах не идёт.
| | |
| |
| 4.105, Аноним (-), 12:58, 18/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
> Вот чем дальше - тем больше у меня подозрение, что обеспечить физическую
> защиту железки и пользоваться стикерами - довольно надёжный и беспроблемный вариант.
> Во всяком случае, пока речь о всяких шпиёнах не идёт.
В принципе да, я частично согласен. Но опять же - если ни у кого нет прямого доступа к вашему компьютеру. Иначе всё это бесполезно. Лучше уж тогда носить с собой блокнотик в нагрудном кармане.
| | |
|
|
|
| |
| 2.83, DmA (??), 20:45, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– | |
> а если у меня драйверов на эту хрень нет?
так в винде(vista+) по умолчанию стоит искать все драйвера на сайте Микрософт. Вы даже не нужны за компьютером. Проверьте свою политику установки драйверов: Пуск -Устройста и принтеры-в Устройствах найдите имя своего компьютера и правой кнопкой мыши на нём щёлкните и выберите "Параметры установки устройств". Скорей всего автоматически идёт поиск драйверов у Микрософта. Другое дело, что есть такой драйвер уже...
Интересно, поможет в таком случае отключение службы Plug and Play или нет. Как вообще бороться с новыми подключениями... Тор конечно выход от таких вещей, но не во всяких корпоративных вещах тор достаточен для работы
| | |
| |
| 3.122, Аноним (-), 14:17, 19/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| –2 +/– | |
gpedit.msc > Computer Configuration > Administrative Templates > System > Device Installation > Device Installation Restrictions > Prevent installation of devices not described by other policy settings.
А голожопикам не повезло, да.
| | |
| |
| |
| 5.124, Аноним (-), 17:18, 19/11/2016 [^] [^^] [^^^] [ответить] [↓] [к модератору]
| –1 +/– | |
> Это был привет из самой глубины этсамой? ;-)
Как скажите. Это относилось ко всякого рода "шарашкиным" конторам, где нету настроенных групповых политик/всем плевать на безопасность. Не сомневаюсь что у онтопика это тоже можно сделать/настроить. Мой комментарий относился к 2.83, про шутки с pnp и прочим. Как оно работает по-умолчанию мало интересно, если это можно поменять штатными средствами.
| | |
| |
| 6.130, Аноним (-), 23:56, 19/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
Чтоб ты знал - групповые политики довольно неэффективная и мягкотелая штука. Локальный юзер млжет без проблем на них забить, если они ему не нравятся. И наверное чтобы упомянутый гаджет сработал - локальный юзер должен его притащить и подключить.
| | |
|
|
|
|
|
| 1.26, Аноним (-), 12:09, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]
| +4 +/– |
Независимо от используемой ОС? Серьёзно?
Я не знаю ни одной приличной ОСи, которая при подключении нового сетевого адаптера бросилась бы поднимать его и настраивать без явной команды пользователя.
А неприличные оси, которые могут такое делать, и бинари с обычной флэшки "автозапускают"...
Вообще не вижу, в чем проблема.
| | |
| |
| |
| 3.110, Онанимус (?), 14:15, 18/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| –1 +/– | |
> Ubuntu автоматом поднимает через Network Manager.
С этим легко побороться. Достаточно в соединениях Network Manager создать сеть с настройками:
1. на закладке "Параметры IPv4" - способ настройки "Автоматически (DHCP)"
2. на закладке "Ethernet" не был указан MAC адрес
3. на закладке "Общие" снята галочка "автоматически подключаться к этой сети"
4. дать имя соединения, к примеру "DHCP"
Тогда при втыкании RJ45 или usb модема соединение автоматически не устанавливается и него нужно ткнуть мышью под именем сетевой карты.
| | |
|
| 2.36, Admino (ok), 13:07, 17/11/2016 [^] [^^] [^^^] [ответить] [↓] [↑] [к модератору]
| +/– |
 > Независимо от используемой ОС? Серьёзно?
> Я не знаю ни одной приличной ОСи, которая при подключении нового сетевого
> адаптера бросилась бы поднимать его и настраивать без явной команды пользователя.
> А неприличные оси, которые могут такое делать, и бинари с обычной флэшки
> "автозапускают"...
> Вообще не вижу, в чем проблема.
Для тебя приличная ОС это DOS. надо понимать.
| | |
| |
| 3.84, DmA (??), 20:48, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| –1 +/– |
>> Независимо от используемой ОС? Серьёзно?
>> Я не знаю ни одной приличной ОСи, которая при подключении нового сетевого
>> адаптера бросилась бы поднимать его и настраивать без явной команды пользователя.
>> А неприличные оси, которые могут такое делать, и бинари с обычной флэшки
>> "автозапускают"...
>> Вообще не вижу, в чем проблема.
> Для тебя приличная ОС это DOS. надо понимать.
просто dhcp зло, всё нужно статиком прописать, не прописал, не работает, а служба dhcp должно быть отключена. правда если используется VPN соединение, то без dhcp оно работать не будет скорей всего.
| | |
|
| 2.60, Аноним (-), 15:10, 17/11/2016 [^] [^^] [^^^] [ответить] [↑] [к модератору]
| +/– | |
> А неприличные оси, которые могут такое делать, и бинари с обычной флэшки "автозапускают"...
Wendoz, если не настраивать. Не все же в этом мире компьютерные гики, подумай об обычных пользователях. Для нас с тобой проблем нет, конечно. А вот например для моей бабушки, которая активно пользуется компьютером, проблема есть.
| | |
| |
| |
| 4.133, Аноним (-), 00:07, 20/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +2 +/– | |
> Вряд ли бабушке угрожает эта атака
А тут сильно завсит от. Бабушки могут запросто таскать через 5 рук непонятные флешки и кликать на всякую фигню. И компьютер с виндой потом получается довольно загаженным, кстати.
| | |
| |
| 5.140, Аноним (-), 06:59, 21/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
Угу, как прихожу к ней - 20 вирусов одним AVZ собираю. Причём вирусы то смешные и даже не запускаются, ибо работают только в режиме DOS. Но всё же.
| | |
|
|
|
|
| 1.29, Аноним (-), 12:41, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]
| +4 +/– | |
Во первых не уверен, что у меня гента сама подхватит эту "сетевуху".
а во вторых - раз есть физический доступ к компу, кто запрещает воткнуться между кабелем и сетевухой? да, у малинки только 1 сетевой порт, но вроде ж были одноплатники с двумя... накрайняк можно и на ардуинке такое запилить - ethernet шилды копеечные, ничего особо делать не нужно - тупо дампить трафик (хоть весь, хоть с простейшим фильтром по порту) на SD карту... думаю, ардуинка справится
| | |
| |
| 2.47, Онофрий (?), 14:26, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
Думаю, смысл в том, что такую штуку можно замаскировать под флешку/внешний жёсткий диск.
Хреновина на витой паре подозрительна.
| | |
| |
| 3.50, Khariton (ok), 14:34, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +4 +/– |
 > Думаю, смысл в том, что такую штуку можно замаскировать под флешку/внешний жёсткий
> диск.
> Хреновина на витой паре подозрительна.
машина, к которой есть физический доступ для посторонних, не может хранить тайны.
я подошел и вынял винт, подменил машину и т.д.
| | |
| |
| 4.71, Аноним (-), 17:42, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| –1 +/– |
Никто к тебе не будет подходить — ты сам купишь девайс в соседнем DNS (куда его привезут от первого попавшегося китайского перекупщика, который меньше попросит).
| | |
| |
| 5.76, Crazy Alex (ok), 19:00, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +1 +/– |
угу, великий заговор производителей флэшек. По факту именно всякая дешёвая дрянь в этом плане наиболее безопасна - там сэкономлено на всём, а масштабы производства таковы, что если приплачивать производителю за то, чтобы ещё что-то напихал - то и Крез разорится.
| | |
| |
| 6.98, Аноним (-), 06:04, 18/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
Бизнес по производству физических благ — самый низкоприбыльный. Если уж Microsoft переключился с корпоративного рэкета на торговлю задницей пользователя…
| | |
| 6.134, Аноним (-), 00:08, 20/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
> угу, великий заговор производителей флэшек. По факту именно всякая дешёвая дрянь в
> этом плане наиболее безопасна - там сэкономлено на всём,
С другой стороны, недружелюбной фирмвари много то и не надо.
| | |
|
|
|
|
|
| 1.31, Аноним (-), 12:44, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ] [↑] [к модератору]
| +5 +/– |
Отсюда вывод -- активные страницы, регулярно подгружающие рекламу -- зло, и подлежат уничтожению. Как, впрочем, и джаваскрипт.
| | |
| 1.33, Аноним (-), 12:52, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ] [↓] [к модератору]
| +/– |
нужно на активацию скринсейвера вписать команду killall -SIGSTOP <browsername>
а на деактивацию соответственно killall -SIGCONT
| | |
| |
| 2.37, Admino (ok), 13:08, 17/11/2016 [^] [^^] [^^^] [ответить] [↓] [к модератору]
| +/– |
> нужно на активацию скринсейвера вписать команду killall -SIGSTOP <browsername>
> а на деактивацию соответственно killall -SIGCONT
Найдут ещё дырку. Надо делать SIGSTOP на вообще все процессы пользователя.
Только тогда пользователь будет ругаться, что музыка заткнулась, но безопасность превыше всего!
| | |
| |
| 3.115, Анонимный Алкоголик (??), 21:44, 18/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
>> нужно на активацию скринсейвера вписать команду killall -SIGSTOP <browsername>
>> а на деактивацию соответственно killall -SIGCONT
> Найдут ещё дырку. Надо делать SIGSTOP на вообще все процессы пользователя.
> Только тогда пользователь будет ругаться, что музыка заткнулась, но безопасность превыше
> всего!
Вот как раз ругаться на продолжающуюся музыку
| | |
|
| 2.63, ryoken (ok), 15:33, 17/11/2016 [^] [^^] [^^^] [ответить] [↑] [к модератору]
| +2 +/– |
 > нужно на активацию скринсейвера вписать команду killall -SIGSTOP <browsername>
> а на деактивацию соответственно killall -SIGCONT
Проще. Отполз от компа - логофф.
| | |
|
| 1.39, Khariton (ok), 13:47, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]
| –1 +/– |
Я вот что-то не совсем понимаю вот этот момент:
"На устройстве запускается подставной DNS-сервер, выдающий фиктивные ответы для запросов имён хостов"
А почему это мой запрос по резолвингу имени должен идти на интерфейс 1.0.0.1/8?
Он же не изменял моего /etc/resolv.conf?
А в целом очень красиво...)))
| | |
| |
| 2.44, nikosd (ok), 14:19, 17/11/2016 [^] [^^] [^^^] [ответить] [↓] [к модератору]
| +/– |
 он не пойдет к Вашему ресолверу если Вы с ресолвером в одной сети. Но запрос может пойти в MITM если в протоколе DHCP указан другой DNS и система обрабатывает изменения /etc/resolv.conf на лету.
| | |
| |
| 3.48, Khariton (ok), 14:33, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
> он не пойдет к Вашему ресолверу если Вы с ресолвером в одной
> сети. Но запрос может пойти в MITM если в протоколе
> DHCP указан другой DNS и система обрабатывает изменения
> /etc/resolv.conf на лету.
ну тут проще. не использовать resolvconf и запретить изменение DNS по DHCP. А лучше дать права 444 /etc/resolv.conf
| | |
|
| |
| 3.46, Khariton (ok), 14:21, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| –1 +/– | |
> Он тебе его запушил
понятно.
а если запретить на хосте сеть через юсб (например перекомпилить ядро и убрать все модули связанные с этим), то по идее атака сдохнет?
| | |
|
|
| |
| 2.61, Аноним (-), 15:16, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +1 +/– | |
В "виндус 10" была (как сейчас - не знаю) вот такая хрень: https://habrahabr.ru/post/264503/
Поэтому, первое что я делаю на маршрутизаторе:
iptables -t nat -I PREROUTING -p tcp --dport 53 -j REDIRECT --to-ports 53
iptables -t nat -I PREROUTING -p udp --dport 53 -j REDIRECT --to-ports 53
Что принудительно заставляет клиентов слать DNS-запросы маршрутизатору, а не какому-то серверу в интернете.
Заодно это защищает и от малвари на клиентских девайсах, которая подменяет настройки DNS, вписывая туда DNS злоумышленника.
| | |
| |
| 3.89, DmA (??), 22:04, 17/11/2016 [^] [^^] [^^^] [ответить] [↑] [к модератору]
| +/– |
>[оверквотинг удален]
> https://habrahabr.ru/post/264503/
> Поэтому, первое что я делаю на маршрутизаторе:
> iptables -t nat -I PREROUTING -p tcp --dport 53 -j REDIRECT --to-ports
> 53
> iptables -t nat -I PREROUTING -p udp --dport 53 -j REDIRECT --to-ports
> 53
> Что принудительно заставляет клиентов слать DNS-запросы маршрутизатору, а не какому-то
> серверу в интернете.
> Заодно это защищает и от малвари на клиентских девайсах, которая подменяет настройки
> DNS, вписывая туда DNS злоумышленника.
При установке Google Chrome( сам его не использую) на Винде в дополнительных параметрах брандмауэра во входящих соединениях для файла Chrome.exe появляется включённое правило "Google Chrome (mDNS-In)" для протокола UDP и порта 5353. Пока не очень понимаю зачем гуглу,чтобы кто-то лез на мой компьютер на порт 5353 за днс запросами...
Предполагаю, что сам chrome лезет сам к себе с dns запросами на порт 5353, а вот затем эти запросы редиректятся к какому-то из сервисов гугл, не обязательно по порту 53 доступным, а возможно это другие порты. Скорей всего Гугл хочет, чтобы при использовании Chrome все dns запросы с него шли на сервера Google (например публичный днс гугла 8.8.8.8). Чтобы знать о всех днс запросах пользователях(есть конечно чудаки, которые сами делают подарок гуглу и прописывают в настройках TCP их днс сервер 8.8.8.8)
| | |
| |
| 4.135, Аноним (-), 00:15, 20/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
5353 - это порт mDNS (aka multicast DNS). Механизм публикации и поиска ресурсов в локалке такой. Вредность умеренная. Полезность тоже. Впрочем, если кто пользуется виндой - его такие мелочи вообще колыхать не должны. Зачем тебе прочные рамы для окон, если у тебя в доме дверь отсутствует? :)
| | |
|
|
|
| 1.49, Аноним (-), 14:33, 17/11/2016 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]
| –1 +/– | |
Мне нравится, что современные ОС, считают, что "1.0.0.1 с сетевой маской 128.0.0.0" является стандартной практикой при раздаче по DHCP =)
Что он будет делать, этот чел, для IPv6? Замаскирует биллиард адресов? Впрочем, все те же грабли. Кривое, раскривое DHCP, которое давным-давно надо было переизобрести. Поттерингу.
| | |
| |
| 2.65, Andrey Mitrofanov (?), 15:57, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +1 +/– |
> все те же грабли. Кривое, раскривое DHCP, которое давным-давно надо было
> переизобрести. Поттерингу.
Слыхала я, он уже. avahi. Мож, и обманули меня, конечно.
---Эппле шагает впреди, и Леннарт, та-а-акой маладой, ...
| | |
|
| |
| 2.96, User from a Company (?), 03:29, 18/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
Атаки через firewire уже N лет как неактуальны, во-первых из-за отмирания fireware, во-вторых из-за появления iommu. Современная ОС отсечёт все поползновения непонятной железки копаться в памяти.
| | |
|
| |
| 2.70, Аноним (-), 16:42, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
> А в firefox есть возможность запретить слать куки от HTTPS через HTTP?
> Т.е. форсировать флаг SECURE?
HTTPS everywhere
| | |
| |
| |
| 4.106, Аноним (-), 13:02, 18/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– | |
> Так ведь не поможет: этот троянский USB сам подставляет HTTP URL.
Так ведь какой вопрос такой ответ :) Если более глобально - man iptables.
| | |
|
|
|
| |
| 2.94, Led (ok), 02:21, 18/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
 > В нормальных ОС порты USB заблокированы по дефолту
... по причине отсутствия драйверов в этих BSD^Wнормальных ОС
| | |
| 2.107, Аноним (-), 13:04, 18/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +1 +/– | |
> В нормальных ОС порты USB заблокированы по дефолту.
...запрещена возможность выхода в интернет, запуска программ, кроме рекомендованных чёрным властелином. И вообще всё..
| | |
|
| |
| |
| 3.90, DmA (??), 22:07, 17/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| –1 +/– |
> USB firewall
> накорябать не слишком то и сложно, если что.
Да просто настроить правильно Firewall, чтобы только оттуда-то и только на такие порты шли коннекты. Допустим на сетевой карте такой-то ip - вот и нужно разрешить коннекты во вне только с этого ip . В случае поднятия других сетей(bluetooh или USB-LAN) коннекты них не пройдут никуда.
| | |
| |
| 4.99, DmA (??), 08:16, 18/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +/– |
А если в этой новой сети у платы будет точно такой же ipшник, что и в Firewall? Сам предложил решение, сам его отверг.Опять предложу - в Firewall должно прописано имя интерфейса, тогда точно даже при совпадении ip-шника в новой сети с основным трафик не пойдёт через новую сеть, даже если попытается.
В Винде нет привязки правил брандмауэра к сетевому интерфейсу . Но можно все новые сети считать "общественными", а для них запретить любые входящие и исходящие исключения(отключить все активные правила), а в правилах по умолчанию для всех пакетов выставить, что всех исходящие и входящие соединения по умолчанию запрещены.В дополнительных параметра брандмауэра это можно сделать. Ну или через netsh.
| | |
| 4.113, Ivan_83 (ok), 15:25, 18/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| –1 +/– | |
Ты не понял.
Я бы даже пошёл дальше и написал Device Firewall - те чтобы при подключении новых устройств их можно было блокировать - не выделять ресурсы, запрещать DMA.
Собственно в данном случае оно прикидывается сетью и это фигня.
В другом случае у тебя могут быть случаи гораздо сложнее, когда мышка вдруг станет ещё и клавой и флешкой и вайфле адаптером и тп.
Или вот уже упоминавшаяся атака с чтением памяти через фаерварь.
| | |
| |
| 5.139, 111 (??), 00:53, 21/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| –1 +/– |
Проблем несколько - сколько будет стоит создание и просто компоненты такого устройства?
Скажем чтобы мог обрабатывать со скоростью USB-2.0 (не говря уже про 3.0), напр.для HDD. Кто это создаст? Для дешевизны нужна ведь массовость... Не положит ли он сам туда backdoor? Не пролезил ли сам в прошику или vhdl компиляцию - с компа разработчика.
Более того, можно сказать что для удешевления и упрощения - будут использованны готовые USB модули в микросхеме, а значит к гадалке не ходи - там уже backdoor для такого случая. Впрочем, и без готового USB модуля - никаких гарантий... Скорей наоборот.
| | |
|
|
|
|
| 1.101, Лютый жабист (ok), 09:57, 18/11/2016 [ответить] [﹢﹢﹢] [ · · · ] [↓] [↑] [к модератору]
| –1 +/– |
 Про "любую ОС" загнули. В типичном линухе, но не бубунте-максималочке, даже сетевой адрес не появится на интерфейсе.
А у меня в арчике даже сетевуха не взлетит, т.к. я обновил ведро, но ещё не ребутнулся - модули недоступны. 8)))))
| | |
| |
| 2.108, Аноним (-), 13:07, 18/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| +1 +/– | |
> не ребутнулся
Сразу видно арчевода.
man modprobe
man dhclient | ifup
> В типичном линухе
Только у тебя. Если нравится каждый раз ручками всё делать - флаг тебе в руки.
| | |
|
| 1.137, Нечестивый (ok), 08:17, 20/11/2016 [ответить] [﹢﹢﹢] [ · · · ] [к модератору]
| +1 +/– |
 Хорошо, только надо срочно установить Network Manager или хотя бы Systemd, а то коллеги снова начнут говорить что на Линуксе у меня ничего не работает...
| | |
| 1.138, 111 (??), 00:44, 21/11/2016 [ответить] [﹢﹢﹢] [ · · · ] [↓] [к модератору]
| –1 +/– |
Наверняка все эти backdoor - заложенны специально, причём специально не сильно сложно эксплуатируемо: нашедшие хакеры - рады и пользуются, молча, антихакеры тоже рады и тщеславятся что нашли или законструировали, на ура я сделал рабочий тест-руткит - останавливаются, и считают что всё нашли и всё исправимо.
А, создатели USB протокола и оборудования потирают руки - успешно отвлекли внимание все тех от более глубинных backdoor, в очередной раз.
| | |
| |
| |
| 3.143, 111 (??), 10:11, 21/11/2016 [^] [^^] [^^^] [ответить] [к модератору]
| –1 +/– | |
В них насколько не было заложенно настолько наглых, настолько публично доступных backdoor, я про приккинулся клавиатурой или мышкой или сетвухой и - готово!
Но чатью верно. Вставил какой-нибудь COM/LPT-брелок или соответсвенно COM-модем
- активировав backdoor ЦПУ и мостов материнки, загрузил с того свою ОСь, тут же [удалённо]скопировал всё что нужно и/или изменил/подложил. Так, я же совсем не про это говорил.
| | |
|
|
|
